ntopng权限绕过与任意代码执行漏洞（CVE-2021-28073/CVE-2021-28074）

ntopng是一款基于Web的流量分析与集流工具，近日国内某安全团队公开披露ntopng权限绕过与任意代码执行漏洞CVE-2021-28073/CVE-2021-28074，攻击者可构造恶意请求，绕过相关认证，控制服务器。接下来为大家介绍一下解决方法，有需要的小伙伴可以参考一下：

1、漏洞描述：

ntopng是一款基于Web的流量分析与集流工具。2021年3月24日，阿里云应急响应中心监测到国内某安全团队公开披露 ntopng 权限绕过与任意代码执行漏洞，其CVE号为 CVE-2021-28073、CVE-2021-28074。攻击者可构造恶意请求，绕过相关认证，配合相关功能造成任意代码执行，控制服务器。

2、漏洞风险：

    ntopng 权限绕过与任意代码执行漏洞 高危

3、影响版本：

ntopng commit < e8b9721479f401f595c5c7bb151819aceb03ad71

4、安全版本：

ntopng commit >= e8b9721479f401f595c5c7bb151819aceb03ad71

5、修复建议：

（1）、ntopng更新到安全版本；

    （2）、防火墙设置针对指定IP访问的权限

    ps：建议您在升级前做好数据备份工作，避免出现意外

6、相关链接：

https://github.com/ntop/ntopng/commit/e8b9721479f401f595c5c7bb151819aceb03ad71